Verarbeitung von Daten nach Art. 9 DSGVO

Datenschutz
1

Liebes Forum,

mein erster Post hier. Ich hoffe auf ein paar Anregungen.

Wir planen in einem gemeinnützigen Verein im Moment das Jugend-Ferienlager für Sommer 2023. Wir sind ein integratives Zeltlager, auch Kinder mit Behinderung, Verhaltensauffälligkeiten, etc. sind gerne willkommen. Für die (Online-)Anmeldung überarbeiten wir unsere Datenschutzerklärung.

Folgendes Szenario:
Der Großteil der Daten wird auf Grundlage von Art. 6 Abs. 2 erhoben.
Allerdings müssen Eltern in der Anmeldung mit einer einfachen ja/nein-Frage angeben, ob eines der folgenden Dinge auf das Kind zutrifft: Kind mit Behinderung/Verhaltensauffälligkeit
Wir interpretieren das so, dass dieses Datum unter Art. 9 DSGVO fällt.

Dass diese Daten erhoben werden müssen, steht für uns außer Frage, da in diesem Fall im Vorfeld mit der Familie Kontakt aufgenommen werden muss, um Details und Sicherheitsfragen zu klären (Medikamente, etc.). Auch für die Planung des Lagers ist es wichtig, da solche Kinder oft eine 1:1-Betreuung benötigen und das in unserer Mitarbeiterplanung berücksichtigt werden muss.

Wir sind uns nun aber unschlüssig, auf welcher Rechtsgrundlage die Erhebung dieser Daten erfolgen kann?

  • Kann hier noch Art. 6 Abs. 2 geltend gemacht werden?
  • Und falls nein: Welcher der Gründe aus Art. 9 kann geltend gemacht werden? Hier kommen wir als Laien mit dem Juristendeutsch an unsere Grenzen.

Freue mich über Antworten
Viele Grüße
J.

1 „Gefällt mir“
2

Art.9 Abs.2 lit a - Einwilligung.

3

Art. 6 Abs. 2 ist doch eine “Verfeinerung” der Möglichkeiten c und e aus Abs. 1. Also muss zuerst mindestens einer der Erlaubnistatbestände aus Abs. 1 anwendbar sein. Für Gesundheitsdaten zusätzlich eine der Ausnahmen aus Art. 9 Abs. 2.

Die Verarbeitung zur Teilnahme an der Aktion kann sinnvollerweise auf Basis einer Vertragserfüllung erfolgen, indem durch die Anmeldung ein Vertrag zustande kommt (Art. 6 Abs. 1 lit. b DSGVO). Oder mit Einwilligung, Daten für die Organisation der Teilnahme verarbeiten zu dürfen (lit. a). Öffentliche Stellen könnten die Verarbeitung auch auf die Notwendigkeit zum Wahrnehmen bestimmter hoheitlicher Aufgaben stützen (lit. e). Berechtigte Interessen (lit. f) werden wegen des Einbezugs der Betroffenen (bzw. deren ges. Vertreter) nicht so praktikabel sein; vielleicht wenn eine Gemeinde oder ein Sozialleistungsträger mit drinhängt. Wegen der Planbarkeit der Verarbeitungen wird es in diesem Stadium noch nicht um akute lebenswichtige Interessen gehen (lit. d).

Die Abfrage der Gesundheitsangaben lässt sich in diesem Fall wahrscheinlich nur auf eine ausdrückliche Einwilligung stützen, solche Daten für aufgeführte Zwecke verarbeiten zu dürfen (Art. 9 Abs. 2 lit. a DSGVO). Die Teilnahme von der Einwilligung abhängig zu machen kann ausnahmsweise vom… “Nichtkopplungsgebot” abweichen (Art. 7 Abs. 3 DSGVO), weil die Leistung sonst nicht erbracht werden kann. Eigentlich nur bei Kindern, “die was haben”, weil die anderen ja ohne Berücksichtigung gesundheitlicher Faktoren teilnehmen können. Deshalb kann man das Erhebungsformular so aufbauen, dass bei solchen Kindern der Gesundheitsteil nicht auszufüllen ist, und die Einwilligung nicht erteilt werden muss.

D., der empfiehlt, die Gesundheitsabfragen in einem Einwiligungsrahmen zusammenzufassen, in dem auch erklärt wird, wozu sie verarbeitet werden sollen (Zwecke). Und die Widerrufsinformation (inkl. Folgen des Widerrufs) nicht vergessen!

4

Hallo und danke für die Antworten,

auf Grundlage von Einwilligung kommt für uns eigentlich nicht in Frage. Um den Sachverhalt für Außenstehende zu konkretisieren: Unser Ferienlager arbeitet integrativ seit über 20 Jahren. Wir reden von 2 Wochen Ferienlager auf einem Zeltplatz, in Zelten, bei jedem Wetter. Die Kinder sind 10-15 Jahre alt.

In der Vergangenheit hatten wir Kinder mit Down-Syndrom, Kinder mit Spastiken, Kinder im Rollstuhl, Kinder im Elektrorollstuhl, Kinder mit Authismus, Kinder aus geschlossenen Psychiatrischen Kliniken, etc. mit dabei. Für solch gravierende Behinderungen muss unserer Meinung nach die Information bei der Anmeldung vorliegen und zwar ohne Einwilligung, weil:

  • Kinder mit Behinderungen, etc. von uns 1:1 betreut werden. Wir können von unseren Kapazitäten her aber nicht mehr als 3-4 solcher Kinder mitnehmen, weil wir nicht genügend Mitarbeiter haben.
  • in diesen Fällen frühzeitig Kontakt aufgenommen werden muss, um Details zu klären, wie z.B.: müssen wir Rampen für Rollstühle bauen, benötigen wir Strom für Akkus eines Elektrorollis, müssen Medikamente verabreicht werden, …

Im Anmeldeformular wird nicht abgefragt, um welche Behinderung es geht. Es müssen auch keine Angaben zu Medikamenten, etc. gemacht werden. Der Text in unserem Muster lautet:

Wir wollen uns vor Vertragsbestätigung mit Ihnen in Verbindung setzen, wenn einer der folgenden Punkte auf Ihr Kind zutrifft: Behinderung/Pflegestufe, Verhaltensauffälligkeiten (z. B. verschlossen, aggressiv), therapeutische Behandlung (innerhalb der letzten drei Jahre), regelmäßige ­Medikation, ­gesundheitliche Einschränkungen, Allergien, ­Bettnässen, Verpflegungs­besonderheiten o. ä.

Darunter befindet sich eine einfache Abfrage “trifft zu/trifft nicht zu”.

Wir suchen nun nach einer Grundlage, diese für uns zwingend notwendigen Daten erheben zu drüfen.
Könnten wir die Verarbeitung (ohne Einwilligung) nach BDSG §22 (1) 1 lit. b zu begründen?

LG

5

“Trifft zu / trifft nicht zu” würde ich durch DSGVO Art. 6 (1) b “vorvertragliche Maßnahmen” gedeckt sehen, da mit “trifft zu” sich die Bedingungen für den Vertrag ändern.

Der 22 BDSG (1) b passt aus meiner Sicht nicht, da “… von ärztlichem Personal und sonstigen Personen… Geheinhalungspflicht unterliegen…” auf Euch nicht zutreffen dürfte.

6

Naja, es gibt auch eine unkompliziertere Variante. Schreibt doch einfach statt der Ja/nein Abfrage einen Hinweistext. Zum Beispiel: Sollte Ihr Kind eine Behinderung haben, oder verhaltensauffällig sein im Sinne von … , dann bitten wir um einen kurzen Anruf unter … Vielleicht noch einen Einzeiler mit einer Begründung.

8

@Hanabi
Vielen Dank für die Einschätzung. Ich sehe das ähnlich, dass es sich um Vertragsdaten handelt. Allerdings muss nach meiner Ansicht dennoch Art. 9 zusätzlich beachtet werden, weil Gesundheitsdaten eben besonders schützenswerte Daten sind.

@dsb_wollst
Der Vorschlag ist eigentlich nicht schlecht… allerdings verarbeiten wir die Daten aus dem Gespräch im Anschluss ja auch und notieren das in unseren Teilnehmerlisten.

9

Ja, aber man kann dann am Telefon die Einwilligung einholen :wink:

10

Dokumentier mal telefonische Einwilligungen…

D., der empfiehlt, die Möglichkeit “Gesundheitsdaten verarbeiten” gut vorzuplanen und zum richtigen Zeitpunkt einwilligen zu lassen.

1 „Gefällt mir“
11

Naja, genau so. Die Einwilligung wurde am…, um…, mündlich durch Herrn/Frau… erteilt.
Ich weiß, schriftlich ist vorgesehen, aber es handelt sich um ein einmaliges Fest und die Daten werden nach Wegfall des Zwecks, hoffentlich, gelöscht.

12

Ich wollte hier noch einmal Rückmeldung geben.
Das Problem mit der Verarbeitung von Gesundheitsdaten bei Kinderfreizeiten ist hier ganz gut beschrieben: https://stiftungdatenschutz.org/ehrenamt/praxisratgeber/praxisratgeber-detailseite/gesundheitsdaten-323#c2516

Unser finaler Text in der Online-Anmeldung lautet nun so:

Wir wollen uns vor Vertragsbestätigung mit Ihnen in Verbindung setzen, wenn einer der folgenden Punkte auf Ihr Kind zutrifft: Behinderung/Pflegestufe, Verhaltensauffälligkeiten (z. B. verschlossen, aggressiv), therapeutische Behandlung (innerhalb der letzten drei Jahre), regelmäßige ­Medikation, ­gesundheitliche Einschränkungen, Allergien, ­Bettnässen, Verpflegungs­besonderheiten, o. ä.

Wir haben nach DSGVO Art. 9 keine andere Möglichkeit als die “Einwilligung” für die rechtmäßige Verarbeitung dieser Daten gefunden. Unser Kompromiss: Eltern willigen explizit in die Verarbeitung dieser Daten ein. Falls sie das nicht tun, ist keine Teilnahme am Zeltlager möglich.

Dadurch hebeln wir zwar DSGVO Art. 7 Abs. 3 (Widerruf) und 4 (Freiwilligkeit) etwas aus. Aber:

  • Ein Widerruf ist möglich, nur kann dann eben nicht mehr am Zeltlager teilgenommen werden.
  • Freiwilligkeit ist nur insofern gegeben, dass man sich freiwillig zum Zeltlager anmeldet.

Was meint ihr? Habt ihr eine bessere Idee?

LG

1 „Gefällt mir“
13

Update:
Vor einiger Zeit habe ich dem Datenschutzbeauftragten unseres Landes bzgl. dem oben genannten “Problem” geschrieben. Nun habe ich eine Antwort erhalten, die auch hier gerne teilen würde:

Vorab ist darauf hinzuweisen, dass unserer Antwort eine vorläufige Prüfung auf Grundlage der von Ihnen zur Verfügung gestellten Informationen zu Grunde liegt. Insbesondere ist uns eine Feststellung der konkreten rechtlichen Zulässigkeit auf Grund des damit einhergehenden Unrechtsvorwurfs ohne Anhörung der verantwortlichen Stelle(n) nicht möglich.
Allgemein können wir Ihnen folgendes mitteilen:
Artikel 7 Absatz 4, welcher im Rahmen der Beurteilung der Freiwilligkeit einer Einwilligung relevant ist, spricht kein absolutes Koppelungsverbot aus, vielmehr muss der Koppelungssituation „in größtmöglichem Umstand Rechnung getragen werden“. Das ermöglicht eine differenzierte, wertende Betrachtung, in die sämtliche Umstände einfließen müssen, die geeignet sein können, die Entschließungsfreiheit der betroffenen Person zu beeinträchtigen. Hierbei können insbesondere Faktoren wie Ungleichgewicht, Marktmacht oder Interessen der Betroffenen in die Bewertung einfließen. Weiter ist zu prüfen, ob die Dienstleistung auch ohne die Datenverarbeitung erfolgen kann („erforderlich“).
Auf Grundlage der von Ihnen zur Verfügung gestellten Informationen gehen wir nach vorläufiger Bewertung davon aus, dass die Datenerhebung im Rahmen der Durchführung eines Zeltlagers durch den Verein auf eine Einwilligung gestützt werden kann. Zum einen könnte man mit Blick auf die mögliche Haftungssituation der Betreuer evtl. schon die Erforderlichkeit der Datenerhebung annehmen. In jedem Fall aber ist nach wertender Betrachtung die Einwilligung als freiwillig anzusehen, insbesondere da diese auch im Interesse der betroffenen Personen ist.